Direktmarketing gegenüber Unternehmensrepräsentanten oder gegenüber Unternehmen?
PSP Case Study zur DSGVO: Praxisfall 20

DSGVO: Praktischer Fall

Herr Müller, Einkäufer der Huber AG, übergibt einem Vertriebsmitarbeiter der Maier GmbH, Herrn Schulze, eine Visitenkarte von sich mit den Worten „Wenn Sie mal das Produkt X in Richtung Y weiterentwickeln, dann rufen Sie mich an“. Die Maier GmbH entwickelt in der Folgezeit das Produkt X in Richtung Y weiter. Herr Schulze ruft Herrn Müller an, woraufhin die Huber AG das weiterentwickelte Produkt der Maier GmbH einer intensiven Evaluierung unterzieht, ob dieses von der Huber AG als Teil eines ihrer eigenen Produkte bezogen werden soll. In dieser Phase telefonieren Herr Schulze und Herr Müller häufiger miteinander und unternehmen zudem, da sie beide passionierte Segler sind, mit ihren Familien einen gemeinsamen Segelausflug. Während dieser Phase verlässt Herr Schulze die Maier GmbH und wechselt zu einem potentiellen Abnehmer der Produkte der Huber AG, der Lehmann KG. Einige Monate nach diesem Wechsel ruft Herr Müller Herrn Schulze an und erzählt ihm, dass die Huber AG das weiterentwickelte Produkt der Maier GmbH nicht weiter verfolgt habe. Herr Müller zeigt sich jedoch von der Marktabdeckung der Lehmann KG angetan und fragt Herrn Schulze, ob die Lehmann KG nicht Interesse daran hätte, Produkte der Huber AG zu vertreiben.

Dieser Fall baut auf der in Fall 1 behandelten Fragestellung auf, ob die „Übermittlung“ von unternehmensbezogenen Kontaktdaten eines Repräsentanten eines Unternehmens (hier der Huber AG) zu einem „Erheben“ aufseiten des anderen Unternehmens (hier der Maier GmbH) führt. Wer diese Frage bejaht und ein Erheben immer annimmt, wenn personenbezogene Daten in die „Sphäre“ eines Verantwortlichen gelangen, egal wie und warum, muss sich zwar mit den Folgen beschäftigen (Pflichthinweise nach Art. 13 und 14 DSGVO), kann aber den vorliegenden Fall weitgehend ignorieren.

In Fall 1 wird unterstellt, dass sich der Zweck der Übermittlung der Kontaktdaten des Repräsentanten des übermittelnden Unternehmens sowie das Interesse des empfangenden Unternehmens auf die Eigenschaft des Repräsentanten als „Funktionsträger“ beschränkt. Danach wäre es also der Huber AG völlig gleichgültig, ob der Vertriebsmitarbeiter der Maier GmbH Herr Schulze oder Herr Sowieso heißt, und der Maier GmbH völlig gleichgültig, ob der Einkäufer der Huber AG nun Herr Müller oder Herr Sonstwas heißt. Die Huber AG will nur Herrn Schulze in dessen Funktion als Vertriebsmitarbeiter der Maier GmbH adressieren und dann gebietet es die Höflich- und Menschlichkeit, dass man Herrn Schulze nicht wie einen „namenlosen Vertriebs-Roboter“ behandelt, sondern als netten Menschen persönlich anspricht. Darüber hinaus aber ist die Huber AG nicht an Herrn Schulze interessiert. Wenn dieser das Unternehmen verlässt, hat sein Name für die Huber AG keine Bedeutung mehr; sein Nachfolger nimmt seinen Platz ein. Datenschutzrechtlich ausgedrückt ist der Zweck der Übermittlung der Daten des Repräsentanten ausschließlich die Aufnahme bzw. Fortführung des Kontakts mit dem („Absender“-) Unternehmen, das durch den Betroffenen repräsentiert wird.

Die Datenschutzbehörden, aber dies nur am Rande, unterscheiden bislang bei der Frage des Direktmarketings nicht danach, ob die Ansprache durch ein Unternehmen den Betroffenen als Privatperson (B2C) oder in seiner Eigenschaft als Unternehmensrepräsentant (B2B) betrifft. Die in verschiedenen der hier behandelten Fälle in Bezug genommene „Orientierungshilfe“ der Datenschutzkonferenz zum Thema Direktwerbung vom November 2018 unterscheidet gerade nicht zwischen der unterschiedlichen Betroffenheit der verschiedenen Zielgruppen. Aus diesem Blickwinkel könnte diese Frage demnach nur im Rahmen der Interessenabwägung einfließen, die sich aber wiederum am Wettbewerbsrecht orientieren soll (s. Fall 29).

Der vorliegende Fall soll aufzeigen, dass auch bei der Unterscheidung, ob eine geschäftliche oder private Ansprache eines Betroffenen erfolgt, die Realität komplexer ist. Dabei ist zunächst der sich entwickelnde Doppelcharakter eines halb geschäftlichen, halb privaten Verhältnisses datenschutzrechtlich ein Thema. Die entsprechende Verarbeitung der (auch privaten) Kontaktdaten von Herrn Schulze durch Herrn Müller ist nicht von der „Haushaltsausnahme“ (s. Fall 18) abgedeckt, weil die Daten zu einem doppelten Zweck genutzt werden. Soweit also Herr Schulze im Laufe der Zeit auch private personenbezogene Daten preisgegeben hat (private Anschrift, Telefonnummer, Familienverhältnisse etc.), wird man vermutlich jeweils mit einer „stillschweigenden Einwilligung“ argumentieren (s. Fall 8). Interessant ist dann in der Folge die Frage, wer Verantwortlicher dieser zusätzlich erhobenen Daten ist – Herr Müller privat (als die Daten „halb-privat“ Nutzender) oder die Huber AG? Oder sind beide gemeinsam Verantwortliche (s. Fall 16)? Muss Herr Müller nun ein Verarbeitungsverzeichnis führen (s. Fall 18)? Wer erteilt die Pflichthinweise, wenn Herr Schulze seine private Telefonnummer preisgibt, bzw. wer haftet, wenn diese Hinweise nicht erteilt werden? Ob man den „Datensatz“ der Kontaktdaten von Herrn Schulze in einen „Huber-AG-Teildatensatz“ (mit beruflichen Kontaktdaten, die übermittelt wurden) und einen „Müller-Teildatensatz“ (mit privaten Kontaktdaten, die erhoben wurden) aufteilen kann – also zwei gesonderte Verantwortliche jeweils für einen Teil der Daten –, ist ungewiss.

Hinzu kommt aber, dass sich auch das Interesse der Huber AG selbst an den beruflichen Kontaktdaten von Herrn Schulze verschiebt. Während es aus der Perspektive der Huber AG ursprünglich gleichgültig war, wer Vertriebsmitarbeiter bzw. Ansprechpartner der Maier GmbH ist, hat sich das Interesse – auch der Huber AG selbst, vertreten durch Herrn Müller – auf Herrn Schulze persönlich verlagert. Dieser wurde bei seinem Wechsel als natürliche Person „verfolgt“ und bei seinem neuen Arbeitgeber – wiederum als Repräsentant dieses neuen Arbeitgebers – angesprochen (Direktmarketing).

Stellt dies eine Zweckänderung im Hinblick auf die Kontaktdaten von Herrn Schulze dar, wenn man den oben charakterisierten ursprünglichen Zweck zugrunde legt, der in der Aufnahme bzw. Fortführung des Kontakts mit der Maier GmbH bestand? Müsste dann die Huber AG Herrn Schulze (persönlich) zu einem schwierig zu bestimmenden „Umwidmungszeitpunkt“ eine Zweckänderungsmitteilung zukommen lassen? Selbst wenn die Daten ursprünglich nicht „erhoben“, sondern „nur übermittelt“ worden waren (s. Fall 1), könnte sich diese Pflicht aus Art. 14 Abs. 4 DSGVO ergeben. Diese Regelung spricht nämlich – begrifflich weiter – von den „erlangten“ Daten, anders als die Mitteilungspflicht in Art. 14 Abs. 1 bis 3 DSGVO, der sich „nur“ auf die (nicht bei der betroffenen Person) „erhobenen“ Daten bezieht.

Oder spricht dieser Verlauf doch dagegen, ursprünglich nur von einer „Übermittlung“ der Kontaktdaten durch die Maier GmbH auszugehen, die kein „Erheben“ auf Empfängerseite darstellt (s. Fall 1)? Möglicherweise könnte man sagen, dass die (möglichen) Zwecke bei der – dann doch anzunehmenden – „Erhebung“ (auf Empfängerseite), sprich: ein „Direktmarketing“ (auch) gegenüber der Person Schulze, schon von Anfang an weiter gingen als die Zwecke der Übermittlung (auf der Seite des Übermittelnden), sprich: die Aufnahme bzw. Fortführung des Kontakts (nur) mit der Maier GmbH (zufälligerweise repräsentiert durch Herrn Schulze). Diese weitergehenden Zwecke hätten sich dann nur erst später – beim Ausscheiden von Herrn Schulze – manifestiert. Dann hätten Pflichthinweise nach Art. 13 DSGVO gegenüber Herrn Schulze (persönlich) – Zweck „Direktmarketing gegenüber dem Betroffenen“ – bereits bei Übergabe der Visitenkarte erteilt werden müssen. Als datenschutzrechtliche Legitimationsgrundlage für die Verarbeitung der Kontaktdaten von Herrn Schulze wäre entweder eine „stillschweigende Einwilligung“ von Herrn Schulze – die aber entsprechende Informiertheit voraussetzt – oder eine Interessenabwägung (Art. 6 Abs. 1 S. 1 lit. f) DSGVO) in Betracht gekommen (s. Fall 8). Konnte Herr Schulze aber überhaupt in die Verarbeitung zum „erweiterten“ Zweck einwilligen oder ging er davon aus, dass sich das Interesse (seinerzeit) nicht auf ihn als Person, sondern lediglich auf ihn als Repräsentant der Maier GmbH richtete? Wäre dann also bei der späteren Manifestation eines schon von Anfang an angelegten, aber erst später – bei Weggang von Herrn Schulze – „aktivierten“ weitergehenden Zwecks eine Zweckänderungsmitteilung – dann allerdings nach Art. 13 Abs. 3 DSGVO – an Herrn Schulze abzusetzen gewesen?

Die korrekte Behandlung – insbesondere auch schon das „Aufspüren“ – derartiger Fälle in einem Datenschutz-Compliance-Management-System eines Unternehmens kann wohl vorsichtig als „Herausforderung“ bezeichnet werden. Wenn etwas „schiefgeht“, z. B. sich Herr Schulze, weil er sich über die erneute Ansprache bei der Lehmann KG ärgert, bei einer Aufsichtsbehörde über das Verhalten der Huber AG beschwert, fällt es hingegen leicht zu sagen, dass die Huber AG „ihren Laden im Griff hätte haben müssen“, sprich solche Fälle hätte intern ausreichend regeln und überwachen müssen.

Diese News könnten Sie auch interessieren
Alle News
Mehr laden
Diese Vorträge & Veröffentlichungen könnten Sie interessieren
Alle Vorträge & Veröffentlichungen
Mehr laden